클라우드인증등급제 시행 내일 공포할 듯 …예고대로 '하 등급' 우선 시행

'클라우드 보안 인증(CAPS) 등급제' 내일 시행 발표 예정

클라우드 시스템 데이터 '국내 소재'로 명시…데이터 주권훼손 우려 방지

오후 4시 경 클라우드 업계 의견서 제출했으나 반영 어려울 듯

과기정통부 "접수된 의견 확인하고, 특별한 내용 없으면 시행할 것"

[서울=뉴시스] 과학기술정보통신부는 올해부터 민간 클라우드 이용 노력 의무 대상이 공공기관으로 확대됐다고 밝혔다. (사진=과기정통부) 2023.1.17 *재판매 및 DB 금지

【서울=뉴시스】송혜리 기자 = 클라우드 보안 인증(CAPS) 등급제가 내일부터 시행될 전망이다. 상·중·하 등급 중 하 등급부터 시행하겠다는 당초 계획과 큰 차이 없는 방향으로 가닥이 잡힌 것으로 알려졌다.

30일 '클라우드 보안인증 등급제' 도입을 골자로 한 '클라우드컴퓨팅서비스 보안인증에 관한 고시 일부개정안' 재행정예고 기간이 이날 종료됨에 따라 정부는 31일 이를 공포할 예정이다. 행정예고는 제도 및 계획을 수립·시행하거나 변경하기 전 이에 대한 국민 의견을 청취하는 절차다. 관련법상 신규 제도는 행정예고 기간 종료와 동시에 시행된다.

클라우드 업계는 이날 오후 4시쯤 과기정통부에 의견서를 전달 한 것으로 알려졌다. 그간 이들은 이번 고시를 통한 하 등급 보안 완화에 우려와 함께 클라우드 보안인증 상·중·하 등급을 동시 시행해야 한다고 주장해왔다.

그러나 최종 개정안은 지난달 행정예고된 바와 같이 국가기관 등 시스템을 중요도 기준으로 상·중·하로 구분하고, 이 중 '하' 등급을 우선 시행토록 한다는 골자는 변함 없는 것으로 알려졌다.

과기정통부 관계자는 "30일 이날까지 접수되는 의견을 확인해 별다른 의견이 없으면 진행을 하려고 한다"면서 "업계 이견에 따라 새로 반영하는 부분이 있어도, 또 다시 재행정예고 될 가능성은 낮다"고 설명했다.

클라우드 보안인증 등급제(클라우드컴퓨팅서비스 보안인증에 관한 고시 개정안)는 그동안 획일적으로 운영되던 클라우드 시스템 보안인증 체계를 개선해 상·중·하 등급제로 나눠 등급별로 다른 보안 규제를 다르게 하겠다는 것이 골자다.

특히 하위 등급의 경우 기존 '물리적 망분리' 인증 기준을 없애고 '논리적 망분리'를 허용키로 했다. '물리적 망분리'는 공공 클라우드 시장에 진입하기 위해 민간과 분리된 공공기관용 서버를 둬야 한다는 보안 기준이다.

과기정통부 관계자는 "그간 보안인증 기준 때문에 공공클라우드 시장에 진입을 못했던 국내 기업들에게 길을 열어주기 위한 방안"이라며 "국내 기업 경쟁력 강화 측면에서 고려했다"고 개정 취지에 대해 설명했다.

그러나 일부 클라우드사업자들은 '논리적 망분리'를 허용한 하 등급 보안 완화에 우려를 나타냈다. 아울러 클라우드 보안인증 상·중·하 등급을 동시 시행해야 한다며 클라우드 보안인증 전 등급에 대한 실증을 추진해 달라고 요구했다.

이같은 지적에 과기정통부는 하 등급에 대한 보안성을 강화할 수 있도록 평가 항목을 보완해 재행정예고했다.

구체적으로 개정 내용을 살펴보면 관리적 조치에 있어 정보보호를 강화하고 조직 구성이나 침해사고 대응 체계 및 훈련·복구·재발방지 부분을 개선하도록 했다. 또 물리적, 기술적 보호조치에 있어서도 보다 엄격히 할 수 있도록 했다.

특히 국가기관 등이 이용하는 클라우드컴퓨팅서비스 보호조치에 있어서는 앞서 다소 애매했던 문구를 명확히 했다. 기존에는 클라우드 시스템 및 데이터의 물리적 위치는 국내로 한정한다고만 돼 있었다면 개정안에는 클라우드 시스템, 백업 시스템 및 데이터와 이를 위한 관리·운영 인력의 물리적 위치를 국내로 한정하는 것으로 바꿨다.

과기정통부 관계자는 "업계 의견을 적극 반영해 하 등급에 대한 보안을 강화했고, 공포하려 했으나 업계에 먼저 안내하는 게 좋을 것 같아 재행정예고를 한 것"이라고 설명했다.


◎공감언론 뉴시스 [email protected]